- 1,000만 명 이상 대규모 유출·반복 위반 시 전체 매출 최대 10% 부과
- 사전 보안 투자 기업 최대 40% 감경…72시간 내 유출 가능성 통지 의무화
고의나 중과실로 대규모 개인정보 유출 사고를 일으키거나 법 위반을 반복한 기업에 전체 매출액의 최대 10%에 달하는 징벌적 과징금을 부과하는 제도가 11일부터 전격 시행된다. 개인정보보호위원회는 상위 법령 개정 및 후속 시행령·고시 제정을 마무리하고 강화된 개인정보 보호 제도를 공식 가동한다고 밝혔다.
이번 과징금 특례는 최근 급증하는 개인정보 유출 피해를 예방하고 기업의 보안 책임 수준을 대폭 높이기 위해 도입됐다. 고의·중과실로 3년 내 위반 행위를 되풀이하거나 1,000만 명 이상의 대규모 유출 피해를 야기한 경우, 혹은 시정명령을 이행하지 않아 유출 사고를 낸 기관과 기업이 적용 대상이다. 과징금 가중 비율 역시 기존보다 높아져 3회 이상 반복 위반 시 최대 80%까지 가중치가 적용된다.
반면 평소 정보 보호에 적극적으로 투자하고 안전 관리 체계를 구축한 기업에는 강력한 인센티브가 제공된다. 개인정보 보호 예산과 전문 인력 비율, 최고경영진의 체계 구축 수준 등에 따라 과징금 기준금액의 최대 40%를 감경받을 수 있다. 사고 발생 직후 조기 탐지 및 신속한 신고·통지로 피해 확산을 막은 경우에도 추가 감경이 적용된다.
경영진의 책임성 확보와 유출 대응 절차도 대폭 강화된다. 최고개인정보보호책임자(CPO)의 지정 및 변경 시 이사회 의결을 거쳐 개인정보위에 신고해야 하며, 개인정보 유출이 확정되지 않았더라도 객관적 위험이 의심될 경우 72시간 이내에 사용자에게 이를 안내해야 하는 ‘유출 가능성 통지제’가 신설된다. 아울러 랜섬웨어 공격 등으로 데이터가 위조·변조·훼손된 사례까지 공식 유출 신고 대상에 새롭게 포함된다.
honggasy@gmail.com
